Betroffen ist Progress MarkLogic Server in Azure-Umgebungen. Die Datenbanksoftware enthält eine Schwachstelle vom Typ Server-Side Request Forgery (SSRF): Ein Angreifer kann den Server dazu bringen, Netzwerkanfragen an Ziele seiner Wahl zu senden. Da die Anfragen vom Server selbst ausgehen, erreichen sie auch Dienste, die von außen nicht zugänglich sind – insbesondere interne Dienste der Cloud-Umgebung, etwa Schnittstellen zur Abfrage von Instanz-Metadaten. Auf diesem Weg lassen sich Cloud-Zugangsdaten oder Zugriffstoken auslesen, mit denen der Angreifer anschließend unbefugt auf weitere Ressourcen der Cloud-Umgebung zugreifen kann. Voraussetzung für den Angriff ist eine vorherige Anmeldung am Server, es handelt sich also um einen authentifizierten Angreifer. Die Auswirkung reicht damit über die Datenbank hinaus und kann die umgebende Cloud-Infrastruktur betreffen.